# 12.3 tcpdump, tshark und Paketmitschnitt auf der Kommandozeile Neben Wireshark gibt es wichtige Werkzeuge für Paketmitschnitte auf der Kommandozeile. Besonders wichtig sind: - tcpdump - tshark - netstat / ss - curl - nc - ping - traceroute / tracert - nslookup / dig Diese Werkzeuge sind besonders nützlich, wenn man auf Servern, Firewalls, Routern oder per SSH arbeitet. Merksatz: Wireshark ist grafisch. tcpdump und tshark arbeiten auf der Kommandozeile. --- **Warum Kommandozeilenwerkzeuge wichtig sind** In der Praxis hat man nicht immer eine grafische Oberfläche. Beispiele: Linux-Server per SSH Firewall-Konsole Container-Host Cloud-Server NAS-System Router Recovery-Umgebung minimale Serverinstallation Dort sind Kommandozeilenwerkzeuge oft schneller und direkter. Merksatz: Auf Servern ist die Kommandozeile oft das wichtigste Analysewerkzeug. --- **tcpdump** tcpdump ist ein Werkzeug, mit dem Netzwerkverkehr auf der Kommandozeile mitgeschnitten werden kann. Es kann: - Pakete live anzeigen - Pakete nach Host filtern - Pakete nach Port filtern - Pakete nach Protokoll filtern - Mitschnitte in Dateien speichern - PCAP-Dateien erzeugen Diese PCAP-Dateien kann man später mit Wireshark öffnen. Merksatz: tcpdump zeichnet Pakete auf und kann PCAP-Dateien erzeugen. --- **tcpdump-Grundidee** tcpdump lauscht auf einer Netzwerkschnittstelle. Beispiele für Schnittstellen: eth0 ens18 en0 wlan0 br0 docker0 vlan10 Wichtig: Man muss die richtige Schnittstelle auswählen. Wenn man auf der falschen Schnittstelle mitschneidet, sieht man den relevanten Verkehr nicht. Merksatz: Richtige Schnittstelle wählen, sonst ist der Mitschnitt wertlos. --- **Schnittstellen anzeigen** Vor einem Mitschnitt prüft man, welche Schnittstellen vorhanden sind. Typische Idee: tcpdump -D Damit werden verfügbare Interfaces angezeigt. Danach wählt man die passende Schnittstelle aus. Merksatz: Erst Schnittstellen anzeigen, dann Mitschnitt starten. --- **Einfacher tcpdump-Mitschnitt** Ein einfacher Mitschnitt auf einer Schnittstelle: tcpdump -i eth0 Bedeutung: -i eth0: auf Schnittstelle eth0 mitschneiden Dieser Mitschnitt zeigt viele Pakete live auf der Konsole. Merksatz: tcpdump -i Schnittstelle startet einen Live-Mitschnitt. --- **Namensauflösung vermeiden** tcpdump kann IP-Adressen und Ports in Namen auflösen. Das kann die Ausgabe verlangsamen oder verwirren. Daher nutzt man häufig: -n oder: -nn Bedeutung: keine Namensauflösung keine Portnamenauflösung Beispiel: tcpdump -nn -i eth0 Merksatz: -nn zeigt IPs und Ports unverändert an. --- **Paketinhalt ausführlicher anzeigen** Mit mehr Ausführlichkeit sieht man mehr Details. Typisch: -v -vv -vvv Beispiel: tcpdump -nn -vv -i eth0 Aber: mehr Details sind nicht immer übersichtlicher. Merksatz: Mehr Ausgabe hilft nur, wenn man sie auch gezielt auswertet. --- **In Datei speichern** Für spätere Analyse speichert man Mitschnitte in eine Datei. Beispiel: tcpdump -nn -i eth0 -w capture.pcap Bedeutung: -w capture.pcap: Mitschnitt in Datei schreiben Die Datei kann später mit Wireshark geöffnet werden. Merksatz: Mit -w speichert tcpdump einen Mitschnitt als Datei. --- **Datei wieder lesen** Eine gespeicherte PCAP-Datei kann mit tcpdump gelesen werden. Beispiel: tcpdump -nn -r capture.pcap Bedeutung: -r: Datei lesen Merksatz: Mit -r liest tcpdump gespeicherte Mitschnitte. --- **Nur bestimmten Host mitschneiden** Wenn nur ein bestimmter Host interessiert, filtert man nach IP-Adresse. Beispiel: tcpdump -nn -i eth0 host 192.168.10.20 Das zeigt Pakete, bei denen diese IP Quelle oder Ziel ist. Merksatz: host filtert Quelle oder Ziel. --- **Nur Quelle oder Ziel filtern** Quelle filtern: tcpdump -nn -i eth0 src host 192.168.10.20 Ziel filtern: tcpdump -nn -i eth0 dst host 192.168.10.20 Merksatz: src = Quelle. dst = Ziel. --- **Nach Netzwerk filtern** Man kann auch ganze Netze filtern. Beispiel: tcpdump -nn -i eth0 net 192.168.10.0/24 Das zeigt Verkehr, bei dem dieses Netz beteiligt ist. Merksatz: net filtert ein ganzes Subnetz. --- **Nach Port filtern** Beispiel: tcpdump -nn -i eth0 port 443 Das zeigt Pakete, bei denen Port 443 als Quell- oder Zielport vorkommt. Genauer: tcpdump -nn -i eth0 dst port 443 zeigt Pakete, die zu Zielport 443 gehen. Merksatz: port zeigt Quell- oder Zielport. dst port zeigt den Zielport. --- **TCP und UDP filtern** Man kann gezielt TCP oder UDP filtern. Beispiel TCP: tcpdump -nn -i eth0 tcp port 443 Beispiel UDP: tcpdump -nn -i eth0 udp port 53 Wichtig: TCP 53 und UDP 53 sind unterschiedlich. Merksatz: Protokoll und Port zusammen prüfen. --- **DNS mitschneiden** DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. Beispiel: tcpdump -nn -i eth0 port 53 Oder genauer: tcpdump -nn -i eth0 udp port 53 Wichtig: Bei großen Antworten oder Zonentransfers kann TCP 53 relevant sein. Merksatz: DNS nicht nur als UDP denken, auch TCP 53 beachten. --- **HTTP und HTTPS mitschneiden** HTTP: tcpdump -nn -i eth0 tcp port 80 HTTPS: tcpdump -nn -i eth0 tcp port 443 Bei HTTPS sieht man den Inhalt nicht im Klartext, aber man sieht Verbindungsaufbau, IP-Adressen, Ports, TLS-Handshake und Fehler. Merksatz: HTTPS-Inhalte sind verschlüsselt, aber Verbindungsdaten sind sichtbar. --- **SSH mitschneiden** SSH nutzt typischerweise TCP 22. Beispiel: tcpdump -nn -i eth0 tcp port 22 Man sieht: Verbindungsaufbau Pakete Abbrüche Timeouts Man sieht nicht: eingegebene Befehle im Klartext, weil SSH verschlüsselt ist. Merksatz: SSH schützt Inhalte, tcpdump sieht aber Verbindungsmetadaten. --- **ICMP mitschneiden** ICMP wird für Diagnose genutzt. Beispiel: tcpdump -nn -i eth0 icmp Damit sieht man zum Beispiel: Ping-Anfragen Ping-Antworten Destination Unreachable Time Exceeded Merksatz: ICMP zeigt Diagnose- und Fehlermeldungen. --- **ARP mitschneiden** ARP ist wichtig im lokalen IPv4-Netz. Beispiel: tcpdump -nn -i eth0 arp Damit sieht man ARP-Anfragen und ARP-Antworten. Typische Frage: Wer hat diese IP-Adresse? Merksatz: ARP hilft bei lokalen Erreichbarkeitsproblemen. --- **DHCP mitschneiden** DHCP nutzt UDP 67 und UDP 68. Beispiel: tcpdump -nn -i eth0 port 67 or port 68 Damit kann man den DORA-Ablauf sehen: Discover Offer Request Acknowledge Merksatz: DHCP-DORA lässt sich mit tcpdump gut prüfen. --- **Filter kombinieren** Filter können kombiniert werden. Beispiel: tcpdump -nn -i eth0 host 192.168.10.20 and tcp port 443 Bedeutung: Zeige nur TCP-443-Verkehr mit Host 192.168.10.20. Weitere logische Verknüpfungen: and or not Merksatz: Mit and, or und not werden tcpdump-Filter gezielt. --- **Beispiel: Alles außer SSH anzeigen** Wenn man per SSH auf einem Server arbeitet, kann der eigene SSH-Verkehr die Anzeige stören. Dann kann man SSH ausblenden: tcpdump -nn -i eth0 not port 22 Merksatz: Eigenen SSH-Verkehr bei Bedarf ausblenden. --- **Beispiel: Fehler reproduzieren** Gute Vorgehensweise: 1. Mitschnitt vorbereiten. 2. Mitschnitt starten. 3. Fehler gezielt auslösen. 4. Mitschnitt stoppen. 5. Datei sichern. 6. Mit Wireshark analysieren. Merksatz: Mitschnitt immer passend zum Fehlerzeitpunkt erstellen. --- **Mitschnitt begrenzen** Paketmitschnitte können schnell sehr groß werden. Möglichkeiten: nur bestimmte IP mitschneiden nur bestimmten Port mitschneiden nur kurze Zeit mitschneiden Datei begrenzen Rotation nutzen nicht unnötig viele Daten erfassen Merksatz: So wenig wie möglich, so viel wie nötig mitschneiden. --- **Warum PCAP-Dateien sensibel sind** PCAP-Dateien können enthalten: - interne IP-Adressen - MAC-Adressen - Hostnamen - Benutzernamen - Cookies - Tokens - unverschlüsselte Passwörter - E-Mail-Inhalte - interne Protokolle - Kundendaten Deshalb: sicher speichern Zugriff begrenzen nicht unnötig weitergeben nach Zweck löschen Merksatz: PCAP-Dateien wie vertrauliche Daten behandeln. --- **tshark** tshark ist die Kommandozeilenversion von Wireshark. Es nutzt ähnliche Analysefunktionen, aber ohne grafische Oberfläche. tshark kann: - live mitschneiden - PCAP-Dateien lesen - Display Filter verwenden - Felder ausgeben - automatisiert auswerten - Protokolle analysieren Merksatz: tshark ist Wireshark für die Kommandozeile. --- **tshark für vorhandene Dateien** Eine vorhandene PCAP-Datei kann mit tshark gelesen werden. Beispiel: tshark -r capture.pcap Mit Filtern kann man gezielt suchen. Beispielidee: nur DNS anzeigen nur HTTP anzeigen nur bestimmte IP anzeigen Merksatz: tshark eignet sich gut für schnelle PCAP-Auswertung. --- **tcpdump oder tshark?** | Werkzeug | Stärke | |---|---| | tcpdump | schnell mitschneiden, auf vielen Systemen verfügbar | | tshark | detailliertere Protokollauswertung auf Kommandozeile | | Wireshark | grafische Analyse, sehr übersichtlich | Merksatz: tcpdump zum Aufnehmen, Wireshark oder tshark zum Analysieren. --- **ss** ss zeigt Netzwerk-Sockets auf Linux-Systemen. Damit prüft man: welche Dienste lauschen welche Verbindungen bestehen welche Ports offen sind welche Prozesse Ports verwenden Beispielidee: Lauscht ein Dienst wirklich auf Port 443? Merksatz: ss zeigt lokale Ports und Verbindungen. --- **netstat** netstat ist ein älteres Werkzeug, das ähnliche Informationen wie ss anzeigen kann. Es zeigt unter anderem: - offene Ports - aktive Verbindungen - Routingtabelle - Schnittstellenstatistiken Auf modernen Linux-Systemen wird häufig ss bevorzugt. Merksatz: netstat ist älter, ss ist auf Linux oft moderner. --- **Lauschende Dienste prüfen** Wenn ein Dienst nicht erreichbar ist, prüft man lokal: Lauscht der Dienst überhaupt? Beispielhafte Fragestellung: Hört der Webserver auf TCP 80 oder TCP 443? Hört SSH auf TCP 22? Hört die Datenbank nur auf localhost? Hört der Dienst auf der richtigen IP-Adresse? Merksatz: Dienst muss lokal lauschen, bevor er extern erreichbar sein kann. --- **localhost-Falle** Ein Dienst kann nur auf localhost lauschen. Beispiel: 127.0.0.1:8080 Dann ist er nur lokal auf dem System erreichbar, aber nicht von anderen Geräten im Netzwerk. Für externe Erreichbarkeit muss er auf einer passenden Adresse lauschen. Merksatz: Dienst auf localhost ist nicht automatisch im Netzwerk erreichbar. --- **curl** curl ist ein Werkzeug zum Testen von HTTP, HTTPS und vielen anderen Protokollen. Es kann zeigen: - Statuscode - Header - Weiterleitungen - TLS-Fehler - Antwortinhalt - API-Antworten Merksatz: curl testet Webdienste und APIs direkt. --- **curl und HTTP-Status** Mit curl kann man prüfen, welchen HTTP-Status ein Server zurückgibt. Wichtige Fragen: Kommt 200? Kommt 301 oder 302? Kommt 401? Kommt 403? Kommt 404? Kommt 500? Kommt 502? Merksatz: curl zeigt, was ein Webserver tatsächlich antwortet. --- **curl und Header** HTTP-Header enthalten wichtige Informationen. Beispiele: Content-Type Location Server Set-Cookie Authorization Cache-Control Strict-Transport-Security Mit curl kann man Header gezielt anzeigen. Merksatz: Header erklären oft, warum ein Webdienst sich so verhält. --- **curl und TLS** curl kann TLS-Probleme sichtbar machen. Typische Fehler: Zertifikat abgelaufen Name passt nicht CA nicht vertrauenswürdig TLS-Version nicht kompatibel Zertifikatskette unvollständig Merksatz: curl hilft bei HTTPS- und Zertifikatsproblemen. --- **nc** nc steht für netcat. Es kann verwendet werden, um einfache TCP- oder UDP-Verbindungen zu testen. Typische Nutzung: Ist ein TCP-Port erreichbar? Antwortet ein einfacher Dienst? Kann ich manuell Daten senden? Beispielgedanke: Porttest für TCP 443, TCP 22 oder TCP 25. Merksatz: nc ist ein einfaches Werkzeug für Port- und Verbindungstests. --- **Porttest richtig einordnen** Ein erfolgreicher Porttest bedeutet: TCP-Verbindung zum Port ist möglich. Er bedeutet nicht automatisch: Anwendung funktioniert korrekt. Login funktioniert. Zertifikat passt. Berechtigung stimmt. API antwortet richtig. Merksatz: Port offen ist nur ein Teil der Diagnose. --- **ping** ping nutzt ICMP Echo Request und Echo Reply. Es prüft grob: Ist ein Ziel per ICMP erreichbar? Ping sagt nicht: ob ein TCP-Port offen ist ob DNS korrekt ist ob HTTPS funktioniert ob Anwendung antwortet ob Anmeldung funktioniert Merksatz: Ping prüft nicht den Dienst. --- **traceroute und tracert** traceroute oder tracert zeigen den Weg zu einem Ziel. Sie helfen bei: Routingproblemen Erreichbarkeitsproblemen ungewöhnlichen Pfaden Netzunterbrechungen hoher Latenz Wichtig: Firewalls können traceroute-Ergebnisse beeinflussen. Merksatz: traceroute zeigt Hinweise auf den Weg, aber nicht immer den vollständigen echten Pfad. --- **nslookup** nslookup prüft DNS-Auflösung. Damit kann man fragen: Welche IP liefert DNS für diesen Namen? Welcher DNS-Server antwortet? Gibt es überhaupt eine Antwort? Gut für einfache DNS-Prüfung. Merksatz: nslookup prüft Namensauflösung. --- **dig** dig ist ein detaillierteres DNS-Werkzeug. Es zeigt unter anderem: - DNS-Antworten - Record-Typen - Antwortzeiten - Nameserver - TTL - Autorität - zusätzliche Antworten dig ist besonders hilfreich, wenn DNS genauer analysiert werden soll. Merksatz: dig ist detaillierte DNS-Analyse. --- **openssl s_client** openssl s_client prüft TLS-Verbindungen. Damit kann man sehen: - Zertifikat - Zertifikatskette - TLS-Version - Cipher - Serverantwort - SNI-Verhalten Besonders nützlich bei: HTTPS LDAPS IMAPS SMTPS POP3S Merksatz: openssl s_client hilft bei TLS- und Zertifikatsproblemen. --- **journalctl** journalctl zeigt Logs auf Systemen mit systemd. Damit kann man prüfen: Dienst gestartet? Dienst abgestürzt? Fehler beim Start? Berechtigungsproblem? Port bereits belegt? Konfigurationsfehler? Merksatz: journalctl zeigt System- und Dienstlogs auf Linux. --- **Windows-Ereignisanzeige** Die Windows-Ereignisanzeige zeigt System- und Anwendungsereignisse. Wichtige Bereiche: Anwendung Sicherheit System Setup Dienstspezifische Protokolle Hilfreich bei: Anmeldefehlern Dienstfehlern RDP-Problemen DNS- oder DHCP-Problemen Zertifikatsproblemen Merksatz: Ereignisanzeige ist wichtig für Windows-Fehlersuche. --- **PowerShell Test-NetConnection** Unter Windows kann Test-NetConnection helfen. Es prüft zum Beispiel: Namensauflösung TCP-Verbindung zu einem Port Ziel-IP grundlegende Erreichbarkeit Beispielhafte Fragestellung: Ist TCP 443 erreichbar? Ist TCP 3389 erreichbar? Merksatz: Test-NetConnection ist ein Windows-Werkzeug für Porttests. --- **Werkzeuge richtig kombinieren** Kein Werkzeug beantwortet alles. Beispiel Webdienst funktioniert nicht: nslookup: DNS prüfen ping: grobe Erreichbarkeit prüfen Test-NetConnection oder nc: Port prüfen curl: HTTP-Antwort prüfen tcpdump: Verkehr prüfen Logs: Dienstfehler prüfen Merksatz: Diagnose entsteht durch Kombination mehrerer Werkzeuge. --- **Beispiel: HTTPS funktioniert nicht** Sinnvolle Prüfung: 1. DNS mit nslookup oder dig prüfen. 2. Port TCP 443 mit nc oder Test-NetConnection prüfen. 3. HTTP-Antwort mit curl prüfen. 4. Zertifikat mit curl oder openssl s_client prüfen. 5. tcpdump oder Wireshark bei Verbindungsproblemen nutzen. 6. Webserver- oder Reverse-Proxy-Logs prüfen. Merksatz: HTTPS-Probleme mit DNS, Port, TLS, Anwendung und Logs prüfen. --- **Beispiel: SSH funktioniert nicht** Sinnvolle Prüfung: 1. Ziel-IP oder Hostname prüfen. 2. TCP 22 prüfen. 3. Lokalen SSH-Dienst prüfen. 4. Firewall und Host-Firewall prüfen. 5. Benutzer und Schlüssel prüfen. 6. SSH-Logs prüfen. 7. tcpdump bei Timeout oder unklarer Verbindung nutzen. Merksatz: SSH-Probleme mit Port, Dienst, Benutzer, Schlüssel und Logs prüfen. --- **Beispiel: DNS funktioniert nicht** Sinnvolle Prüfung: 1. Welcher DNS-Server ist eingetragen? 2. Ist DNS-Server erreichbar? 3. Antwortet UDP 53? 4. Antwortet bei Bedarf TCP 53? 5. Liefert DNS richtige Antwort? 6. Gibt es NXDOMAIN? 7. Gibt es falschen Cache? 8. tcpdump zeigt echte DNS-Anfrage? Merksatz: DNS-Fehler mit Server, Port, Antwort und Cache prüfen. --- **Beispiel: DHCP funktioniert nicht** Sinnvolle Prüfung: 1. Client sendet Discover? 2. DHCP-Server antwortet mit Offer? 3. Client sendet Request? 4. Server sendet Acknowledge? 5. Scope hat freie Adressen? 6. DHCP-Relay korrekt? 7. VLAN korrekt? 8. Firewall blockiert UDP 67/68? Merksatz: DHCP mit DORA analysieren. --- **Beispiel: RDP funktioniert nicht** Sinnvolle Prüfung: 1. Hostname oder IP prüfen. 2. TCP 3389 prüfen. 3. Remote Desktop aktiviert? 4. Host-Firewall erlaubt? 5. Benutzer berechtigt? 6. VPN oder Gateway nötig? 7. Windows-Ereignisanzeige prüfen. 8. Nicht direkt aus Internet veröffentlichen. Merksatz: RDP-Probleme mit Port, Dienst, Berechtigung und Sicherheit prüfen. --- **Typische Fehler bei Werkzeugnutzung** Häufige Fehler: - nur ping testen und Dienstproblem übersehen - DNS nicht prüfen - TCP und UDP verwechseln - falsche Schnittstelle mitschneiden - falschen Port prüfen - internen und externen Test verwechseln - NAT nicht berücksichtigen - Logs ignorieren - verschlüsselte Inhalte im Klartext erwarten Merksatz: Werkzeugergebnisse immer fachlich einordnen. --- **Diagnose nach Schichten** | Schicht | typische Werkzeuge | |---:|---| | 1 | Link-Status, Kabeltest, Switchport | | 2 | ARP, MAC-Tabelle, VLAN-Prüfung | | 3 | ping, traceroute, Routingtabelle | | 4 | nc, Test-NetConnection, ss, tcpdump | | 5–6 | TLS-Prüfung, openssl s_client | | 7 | curl, nslookup, dig, Logs, Anwendungstest | Merksatz: Das Werkzeug richtet sich nach der vermuteten Schicht. --- **Was Kommandozeilenwerkzeuge nicht ersetzen** Sie ersetzen nicht: - saubere Dokumentation - Verständnis der Netzstruktur - Firewall-Regelprüfung - Berechtigungsprüfung - Dienstkonfiguration - Monitoring - Sicherheitskonzept - Datenschutz beim Mitschnitt Merksatz: Werkzeuge liefern Hinweise, Fachwissen macht daraus eine Diagnose. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür nutzt man tcpdump? - Was ist eine PCAP-Datei? - Wofür steht tshark? - Was ist der Unterschied zwischen tcpdump und Wireshark? - Warum muss man die richtige Schnittstelle wählen? - Wie filtert man nach Host, Port oder Protokoll? - Warum ist tcpdump mit -w nützlich? - Warum sind Mitschnittdateien sensibel? - Wofür nutzt man curl? - Wofür nutzt man nc? - Was prüft ping? - Warum reicht ping nicht aus? - Wofür nutzt man nslookup oder dig? - Wofür nutzt man openssl s_client? - Wie kombiniert man Werkzeuge bei der Fehlersuche? --- **Typische Prüfungsfallen** tcpdump ist Kommandozeile. Wireshark ist grafisch. tshark ist Wireshark auf Kommandozeile. tcpdump kann PCAP-Dateien speichern. PCAP-Dateien können sensible Daten enthalten. Falsche Schnittstelle bedeutet falsche Sicht. -nn verhindert Namensauflösung. host filtert Quelle oder Ziel. src ist Quelle. dst ist Ziel. port filtert Quell- oder Zielport. TCP und UDP getrennt betrachten. DNS kann UDP und TCP 53 nutzen. DHCP nutzt UDP 67 und 68. Ping prüft ICMP, nicht den Dienst. Porttest beweist nicht, dass Anwendung funktioniert. curl prüft Webdienste besser als ping. openssl s_client hilft bei TLS. Logs und Mitschnitt ergänzen sich. Werkzeuge ersetzen keine fachliche Analyse. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | tcpdump | Kommandozeilenwerkzeug für Paketmitschnitte | | tshark | Wireshark-Funktion auf Kommandozeile | | PCAP | Datei mit aufgezeichneten Paketen | | Interface | Netzwerkschnittstelle | | Capture | Aufnahme von Paketen | | -i | Schnittstelle auswählen | | -w | Mitschnitt in Datei schreiben | | -r | Mitschnitt aus Datei lesen | | -n / -nn | Namensauflösung abschalten | | host | Quelle oder Ziel filtern | | src | Quelle | | dst | Ziel | | port | Port filtern | | ss | lokale Sockets und Ports anzeigen | | netstat | älteres Werkzeug für Netzwerkstatus | | curl | Web- und API-Anfragen testen | | nc | einfache Port- und Verbindungstests | | ping | ICMP-Erreichbarkeit prüfen | | traceroute | Weg zum Ziel prüfen | | nslookup | DNS einfach prüfen | | dig | DNS detailliert prüfen | | openssl s_client | TLS-Verbindungen prüfen | | journalctl | Linux-Systemlogs anzeigen | | Ereignisanzeige | Windows-Logs anzeigen | | Test-NetConnection | Windows-Porttest | --- **IHK-sichere Kurzformulierung** tcpdump ist ein Kommandozeilenwerkzeug zum Mitschneiden von Netzwerkverkehr und kann Mitschnitte als PCAP-Datei speichern, die später mit Wireshark analysiert werden kann. tshark ist die Kommandozeilenversion von Wireshark und eignet sich für detaillierte Auswertungen ohne grafische Oberfläche. Bei der Analyse muss die richtige Netzwerkschnittstelle gewählt und gezielt nach Host, Port, Protokoll oder Netz gefiltert werden. Ergänzende Werkzeuge wie curl, nc, ping, traceroute, nslookup, dig, openssl s_client, ss, netstat und Logdateien helfen, DNS, Ports, TLS, Dienste und Verbindungen systematisch zu prüfen. Ein einzelnes Werkzeug reicht selten aus; eine zuverlässige Diagnose entsteht durch die Kombination mehrerer Hinweise. --- **Merksätze** tcpdump = Paketmitschnitt auf Kommandozeile. tshark = Wireshark auf Kommandozeile. Wireshark = grafische Analyse. PCAP = gespeicherter Paketmitschnitt. Richtige Schnittstelle ist entscheidend. -nn verhindert Namensauflösung. -w schreibt Mitschnitt in Datei. -r liest Mitschnitt aus Datei. host filtert Quelle oder Ziel. src filtert Quelle. dst filtert Ziel. port filtert Quell- oder Zielport. TCP und UDP nicht verwechseln. DNS kann UDP und TCP nutzen. DHCP nutzt UDP 67 und 68. SSH nutzt typischerweise TCP 22. HTTPS nutzt typischerweise TCP 443. Ping prüft ICMP, nicht Anwendung. Porttest prüft Erreichbarkeit, nicht Anwendungserfolg. curl prüft HTTP und HTTPS. nc testet einfache Verbindungen. nslookup und dig prüfen DNS. openssl s_client prüft TLS. ss zeigt lokale Ports. Logs zeigen Dienstfehler. Mitschnitt und Logs gemeinsam auswerten. PCAP-Dateien vertraulich behandeln. Werkzeuge liefern Hinweise, Fachwissen liefert die Diagnose.